Санкции по GDPR: как рассчитываются штрафы и чем еще грозят нарушения?

Организация нарушила правила обработки персональных данных: что происходит дальше?

Представим ситуацию: компания нарушила требования GDPR. Это не означает автоматический штраф в максимальном размере. Процесс привлечения к ответственности — это сложная административная процедура, в которой надзорный орган (Data Protection Authority, DPA) обязан следовать строгим правилам, чтобы решение было справедливым.

Надзорный орган не просто «выписывает штраф». Сначала запускается процесс расследования и выбора меры реагирования.

Шаг 1: Расследование

Надзорный орган обладает широкими следственными полномочиями (ст. 58(1) GDPR). Он может потребовать от компании любую информацию, провести аудит системы защиты персональных данных, получить доступ к помещениям и оборудованию.

Шаг 2: Выбор меры реагирования

Штраф — не единственный инструмент. Согласно ст. 58(2) GDPR, у регулятора есть спектр корректирующих полномочий:

Выносится, если нарушение только вероятно.

Ситуация, когда нарушение «только вероятно» (likely infringement), означает, что компания еще не нарушила закон, но планирует действия, которые неизбежно приведут к нарушению, если их осуществить.

В этом случае нарушение еще не наступило, и цель надзорного органа — предотвратить его.

Согласно статье 58(2)(a) GDPR, это относится к планируемым (предполагаемым) операциям обработки. Регулятор вмешивается на этапе, когда компания только намеревается запустить определенный процесс работы с данными.

В такой ситуации надзорный орган использует специальный инструмент — Предупреждение (Warning). Это сигнал компании: «Если вы сделаете то, что запланировали, вы нарушите закон».

💡 Пример вероятного нарушения

Компания разработала новую маркетинговую стратегию. Она планирует купить базу данных транзакций у стороннего ритейлера, чтобы анализировать покупки людей и предсказывать поведение. Компания уже подготовила техническую базу и внутренние приказы, но еще не загрузила данные и не начала их анализ.

Если надзорный орган узнает об этом (например, компания сама обратилась за консультацией в рамках ст. 36 GDPR или о планах стало известно из внутренней документации в ходе проверки), он видит, что намерение есть, но факта незаконной обработки еще нет.

Вместо штрафа орган выносит Предупреждение (Warning) о том, что эти планируемые действия нарушат принципы обработки данных. Если компания проигнорирует предупреждение и запустит процесс, тогда уже последуют более строгие санкции, такие как штраф или запрет обработки.

Выговор (Reprimand)

Может быть вынесен вместо штрафа, если нарушение незначительное (minor infringement) или штраф был бы несоразмерной нагрузкой для физлица.

Незначительным считается нарушение, которое не несет существенной угрозы правам и свободам людей и не затрагивает саму суть обязательств по защите данных.

В тексте самого регламента нет исчерпывающего списка «мелких» нарушений. Оценка проводится индивидуально в каждом конкретном случае. Согласно разъяснениям Европейского совета по защите данных (EDPB), нарушение может быть признано незначительным, если соблюдаются следующие условия:

🔹 Нарушение не создает значительной угрозы для прав и свобод физических лиц.

🔹 Ошибка носит скорее случайный или технический характер, не подрывая фундаментальные принципы защиты данных.

Важный нюанс: даже если нарушение признано незначительным, замена штрафа на выговор — это право, а не обязанность надзорного органа. Регулятор может все равно выписать штраф, если посчитает это необходимым для обеспечения соблюдения закона.

💡 Пример незначительного нарушения

Компания случайно отправляет новостную рассылку о стиральном порошке на неверный адрес электронной почты. В письме содержится имя клиента. Почему это незначительное нарушение? Хотя факт раскрытия персональных данных (имя и факт покупки) произошел, риск для человека минимален. Знание третьим лицом того, что кто-то купил стиральный порошок, с большой долей вероятности не нанесет этому человеку морального или материального ущерба и не нарушит его фундаментальные права.

Приказ о приведении в соответствие

Регулятор дает четкий список действий и дедлайн для исправления ошибок.

Согласно Статье 58(2)(d) GDPR, регулятор имеет право приказать компании изменить свои рабочие процессы так, чтобы они перестали нарушать закон. Это не просто дружеская рекомендация, а юридически обязательный документ, в котором указываются:

1) Конкретные шаги, которые должна предпринять компания.

2) Строгий дедлайн (обычно от нескольких недель до нескольких месяцев).

3) Обязанность отчитаться о выполнении.

Многие компании ошибочно полагают, что уплата штрафа закрывает вопрос. На самом деле, неисполнение приказа регулятора — это кратчайший путь к максимальным санкциям.

К чему может привести неисполнение такого приказа?

1) Повышение уровня штрафа. Нарушение приказа надзорного органа автоматически попадает во «второй уровень» (Tier 2) — самый дорогой. Это означает, что даже если исходное нарушение было техническим и мелким, игнорирование требований регулятора может поднять планку штрафа до 20 млн евро или 4% от оборота.

2) Публичность. Регуляторы часто публикуют информацию о вынесенных приказах. Это подает сигнал инвесторам и клиентам о том, что инфраструктура компании небезопасна, что наносит огромный репутационный ущерб.

3) Доказательство вины для судов. Если компания не выполнила приказ и произошла повторная утечка, это будет считаться умышленным нарушением (intentional infringement), что является серьезным отягчающим фактором при расчете нового штрафа.

Запрет на обработку персональных данных (Processing Ban)

Это «высшая мера наказания» в арсенале регулятора, не связанная с деньгами напрямую.

Согласно Статье 58(2)(f) GDPR, надзорные органы имеют право вводить временное или окончательное ограничение, включая полный запрет на обработку данных. Регулятор может запретить:

🔹 Сбор определенных категорий данных (например, биометрии).

🔹 Использование конкретных алгоритмов или AI-моделей, обученных на незаконно полученных данных.

🔹 Передачу данных партнерам или в другие страны (например, в США).

Запрет может быть:

🔹 Временным (Temporary): Дается пауза, чтобы компания внедрила технические меры (например, шифрование или MFA).

🔹 Окончательным (Definitive): Если регулятор считает, что нарушение невозможно исправить в рамках текущей бизнес-модели.

Регулятор прибегает к этой мере в исключительных случаях, когда денежного штрафа недостаточно или когда продолжение обработки наносит непоправимый вред гражданам. Например, если компания систематически игнорирует требования GDPR или если сама модель её бизнеса построена на нарушении прав (например, массовый сбор данных из соцсетей без согласия).

💡 В мае 2022 года британский регулятор (ICO) применил этот инструмент против американской компании Clearview AI Inc.

Компания собрала базу из более чем 20 миллиардов лиц пользователей интернета (включая жителей Великобритании) для системы распознавания лиц, не имея на то законных оснований.

Помимо штрафа в 7,5 млн фунтов, компания получила Enforcement Notice (исполнительное уведомление).

Регулятор официально приказал компании прекратить сбор и использование данных жителей Великобритании, которые находятся в открытом доступе, и удалить уже накопленную информацию из своих систем.